55
6. Служебные сервисы.
Организация инфраструктурных служебных сервисов основана на базе
решения мирового лидера в сфере программного обеспечения корпорацией
«Microsoft»: Windows Server 2012 R2. Данное программное обеспечение
обеспечивает удобное и эффективное использование служб единого каталога
«Active Directory» и позволяет решать широкий спектр задач.
7. В проектируемой локальной сети предполагается использовать по
два прикладных сервера фирмы IBM, каждый из которых выполняет
функции файлового сервера. Модель серверов - System x3250 M5.
Основные характеристики используемого сервера:
1. Процессор: четырехядерный, Intel Xeon E5320, 2,86ГГц.
2. Память: 1024 МБ, 887МГц (максимальный объем 64ГБ).
3. Диски SAS или SATA: до 4,0Тб.
4. Наличие технология предсказания сбоев.
Для установки оборудования проектом предусматривается размещение
ТК шкафов 22U и 12U. Выбранный настенный шкаф - TWM-1245/2245-GR-
RAL9004 HYPERLINE.
Внешний вид и конструкция шкафа приведены на рисунках 3.11 и 3.12
соответственно.
Рисунок 3.11 - Внешний вид шкафа TWM-1245/2245-GR-RAL9004
HYPERLINE
56
Конструкция выбранного шкафа включает:
1. Каркас.
2. Боковая панель.
3. Монтажная панель.
4. Крышка для кабельного ввода.
5. Крышка для отверстия под вентилятор.
6. 19" монтажный профиль.
7. Передняя дверь.
8. Замок.
Рисунок 3.12 - Конструкция шкафа
Прокладка кабеля UTP осуществлена в лотках за подвесным потолком.
Отводы кабеля в помещения с лотков закреплены к потолку с применением
площадок под винт НС-2 и стяжек нейлоновых L=100мм.
Кабель со стороны помещений терминированы розеткой компьютерной
RJ45 категории 5е SB2-1-8P8C-C5e-WH, со стороны серверной - патч-
панелью PP2-19-24-8P8C-C5e-110D, внешний вид которой приведен на
рисунке 3.12.
57
Рисунок 3.13 - Патч-панель PP2-19-24-8P8C-C5e-110D (19", 24 порта
RJ–45, категория 5e)
Спецификация используемой патч-панели:
Соответствует ANSI/TIA/EIA-568-B.2 Category 5e;
Соответствует TIA/EIA TSB-40;
Соответствует ISO/IEC Generic Cabling Standard 11801:2002 ed.2.0;
Соответствует CENELEC Generic Cabling Standard EN50173-1:2002.
Описание патч-панели:
Стандартный размер 19" для монтажа в стойки и шкафы;
Подключение одножильного кабеля диаметром 22-26 AWG;
Высота 1U;
Вертикальный тип заделки.
Розетки установлены на высоте 80 см от уровня пола. Спуски кабеля к
розеткам организовать в кабель-канале Legrand 20x10.
Кабельная сеть построена на витой паре (100Base - T) с применением
кабеля фирмы HYPERLINE, стандарта 5е.
Рисунок 3.14 – Разрез применяемого кабеля
58
На рисунке 3.14 цифрами обозначены:
1 – Внешняя оболочка;
2 – Витая пара solid.
Спецификация выбранного кабеля:
- Соответствует стандартам ANSI/TIA/EIA-568С.2;
- Класс пожарной безопасности IEC60332-1 (CM);
- Кабель соответствует стандарту пожарной безопасности UL 444 UL
1581.
Для терминирования кабеля в помещениях были выбраны розетки с
разъёмом RJ-45 категории 5е.
Прокладка кабеля UTP осуществлена в лотках за подвесным потолком.
Отводы кабеля в помещения с лотков закреплены к потолку с применением
площадок под винт НС-2 и стяжек нейлоновых L=100мм.
Розетки установлены на высоте 80 см от уровня пола. Спуски кабеля к
розеткам организовать в кабель-канале Legrand 20x10.
Произведем выбор программного обеспечения.
Имеется два базовых варианта операционных систем: система на базе
ядра LINUX и система на базе ядра WINDOWS. Следует выбирать систему
WINDOWS, если имеется необходимость легко конфигурировать
программное обеспечение [1].
Произведем настройку операционной системы.
Настройка операционной системы подразделяется на следующие этапы
[31]:
конфигурирование сети;
добавление VLAN интерфейсов;
установка DHCP, DNS серверов.
1. Конфигурирование сети.
59
Конфигурирование сети в Linux осуществляется посредством
следующих команд:
ifconfig ethх 292.168.5.х netmask 455.755.258.1 up,
где, ethx – оператор, определяющий имя сетевого интерфейса.
Заблаговременно необходимо определить список сетевых плат. Для
этого нужно выполнить команду ifconfig.
Данная команда сформирует на экране список сетевых карт,
имеющихся в системе [34].
Выполним автоматическую компиляцию с помощью команды:
rpmbuild -tb e1000e-1.10.6.tar.gz.
rpm –Uvh e1000e-1.10.6-1.x86_64.rpm.
2. Создание VLAN.
Загружаем модуль 8021q непосредственно в ядро следующей
командой:
modprobe 8021q.
vcоnfig sеt_namе_typе [name-type]
где, name-type принимает следующие значения:
VLАN_РLUS_VID имя устройства выглядит так: vlаn0002.
VLАN_PLUS_VID_NО_PАD имя устройства выглядит так: vlan2.
DЕV_РLUS_VID имя устройства выглядит так: eth0.0002.
DЕV_РLUS_VID_NО_PАD имя устройства выглядит так: eth0.2
vсоnfig sеt_nаme_type VLАN_PLUS_VID_NО_PАD.
Теперь необходимо вновь вернуться к настройке OC.
Определим VLAN'ы, используемые на данном интерфейсе. Каждый
VLAN добавим на необходимый интерфейс.
Создаем субинтерфейсы провайдеров: vlаn100 и vlаn101:
vcоnfig аdd еth0 100,
vcоnfig аdd еth0 101.
60
Для того, что бы интерфейсы были сохранены после перезагрузки,
создаём два конфигурационных файла в папке /еtc/sysсonfig/netwоrk-scripts.
Имена файлов ifсfg-vlаn100 и ifсfg-vlаn101 со следующим текстом:
VLАN=yеs
VLАN_NАME_TYРE=VLАN_PLUS_VID_NО_PАD
РHYSDEV=еth0
NАME="vlan100" (“vlan101”)
BОOTPROTO=nоne
DЕVICE=vlan100 (“vlan101”)
IPАDDR=112.152.65.165 (312.122.63.5)
NЕTMASK=235.235.235.250 (235.235.235.0)
GATЕWAY=213.153.63.131 (222.132.63.3)
IPV6INIТ=nо
USЕRCTL=nо
ONBОOT=yеs.
Необходимые параметры:
VLАN=yеs – в противном случае интерфейс не будет сформирован
после перезагрузки системы.
3. DHCP и DNS серверы.
Настроечным файлом выступает файл /еtc/dhсpd.cоnf. Выделяемые
пулы формируются блоками для каждого субинтерфейса отдельно.
В проектируемых сетях необходимо организовать следующие сервисы:
1. Обеспечение корпоративной передачи данных и безопасного доступа
в Интернет.
2. Обеспечение корпоративной голосовой связи по VoIP.
Рассмотрим каждый из реализуемых сервисов.
1. Обеспечение безопасного доступа сотрудникам компании в сеть
Интернет предполагается решить по средствам использования выделенной
волоконно-оптической линии с использованием технологии Wi-Fi.
61
2. Создание сети IP-телефонии является обязательным шагом для
формирования гибкой динамичной телекоммуникационной инфраструктуры
внутри исследуемой компании, которая позволит быстро организовывать и
динамично поддерживать работу сотрудников, рабочие проектные,
организовывать как внутреннюю связь, так и внешние взаимодействия.
Сеть IP-телефонии имеет возможность предоставлять следующие
телефонные сервисы:
• внутрикорпоративный телефонный сервис — внутренняя
оптимизированная по затратам и единая по нумерации телефонная сеть
абонентов;
• междугородняя телефонная связь с использованием корпоративных
каналов;
• оптимизированный, высокоэффективный выход в телефонную сеть
общего пользования с расширенными сервисами;
• доступ к альтернативным операторам международной,
междугородней телефонной связи, позволяющий снизить затраты на оплату
телефонных переговоров;
• корпоративное подключение к операторам мобильной связи;
• доступ к студиям проведения корпоративных видео конференций.
Для реализации IP-телефонии на базе проектируемой сети
предполагается использовать Сервер IP-телефонии Asterisk. Asterisk - это
открытый программный сервер телефонии, значительно превосходящий по
функционалу все другие существующие решения для организации офисных
АТС, включая самые дорогие отдельные телефонные станции Enterprise
класса. Asterisk является полностью открытым проектом - необходимо всего
лишь купить интерфейсные платы и подходящий по мощности компьютер, и
можно создать АТС любого уровня и сложности.
В компании необходима следующая организация телефонии на
рабочих местах сотрудников:
- VoIP-телефоны (витая пара) – 28 штуки;
62
- гарнитуры с софтфонами (компьютер) – 12 штук;
- факсы – 2 штуки.
Оборудование, необходимое для организации IP-телефонии в
компании:
1. Для маршрутизации звонков и получения функционала
устанавливается IP-АТС на базе Asterisk.
2. Для выполнения звонков необходимо приобрести VoIP-телефоны и
гарнитуры.
3. Необходимо сохранить существующие городские номера компании,
поэтому следует установить VoIP-шлюзы.
4. Необходимо иметь возможность отправки/приема факсимильных
сообщений, поэтому следует установить VoIP-шлюз для подключения
обычного факсимильного аппарата.
5. Дополнительно необходимо установить UPS (источник
бесперебойного питания).
В качестве основного поставщика траффика выбран, используемый
ранее на протяжении нескольких лет, провайдер Манго-Телеком.
На сайте оператора Манго-Телеком размещена инструкция для
настройки серверов на базе Asterisk. Поскольку выбранная IP-ATC работает
на его основе данные конфигурационные файлы совпадают.
Для обеспечения безопасного обмена данными, необходимо применить
специализированное программное обеспечение.
Систему защиты информации в сети каждого из офисов организации
предполагается построить по единой структуре.
Система защиты информации каждого из двух офисов будет состоять
из нескольких подсистем. Рассмотрим каждую из данных подсистем
отдельно.
1. Идентификация и аутентификация.
1.1. Управление идентификаторами;
1.2. Управление средствами аутентификации.
63
Все вышеперечисленные меры реализованы за счёт использования в
корпоративной сети организации службы каталогов Microsoft Active
Directory, средствами которой осуществляется идентификация,
аутентификация и авторизация пользователей информационными системами
компании.
2. Управление доступом.
Система управления доступа субъектов к объектам доступа
реализована на основе службы каталогов Active Directory.
3. Регистрация событий безопасности (РСБ).
Регистрация, хранение и защита журналов аудита, в которых
фиксируется информация о событиях безопасности (более 3 неуспешных
попыток аутентификации, успешные\неуспешные попытки доступа к
объектам файловой системы, смена пароля пользователем, изменение состава
локальных групп пользователей, добавление\удаление локального
пользователя и др.) осуществляется штатными средствами аудита Active
Directory.
4. Антивирусная защита (АВЗ).
Реализация антивирусной защиты (на момент проведения исследования
применяемых технических мер по защите в компании, было установлено
применение на АРМ бесплатного антивирусного пакета Avast, не имеющего
сертификата ФСТЭК).
Для реализации системы антивирусной защиты (САВЗ) требуется
внедрение антивирусного ПО, сертифицированного ФСТЭК.
Следует отметить, что используемые на АРМ и серверах организации
операционные системы сертифицированы ФСТЭК по 5 классу РД СВТ.
Произведем выбор сертифицированных СЗИ обеспечивающих
необходимый уровень защищённости информации, обрабатываемой в сети
организации.
1. Выбор средства антивирусной защиты (САВЗ).
64
В рассматриваемой организации наиболее целесообразно применение
САВЗ типа «А», предназначенные для централизованного
администрирования САВЗ совместно с типом «Б» и «В», соответствующие 5
классу защиты или выше. При выборе САВЗ будут рассматриваться
комплексные решения, имеющие в своём составе дополнительные модули,
которые обеспечивают защиту от НСД. Среди САВЗ, имеющих
сертификацию ФСТЭК на момент написания ВКР можно выделить 3
продукта категории Endpoint Security:
- Kaspersky Endpoint Security 10 для Windows;
- Dr.Web Enterprise Security Suite 10;
- Symantec Endpoint Security 12.
Все указанные выше комплексные решения САВЗ сертифицированы
ФСТЭК на соответствие профилям антивирусной защиты, кроме Symantec
Endpoint Security 12, который сертифицирован на соответствие РД НДВ по 4
уровню контроля и ТУ, а значит не соответствует требованиям ФСТЭК
(приказ №21). Исходя из этого далее будем рассматривать оставшиеся два
продукта от компаний Kaspersky Lab и Dr.Web.
В ходе анализа функциональных возможностей комплексов, а также их
производительности и совместимости с ПО, установленным на АРМ и
серверах Организации учитывались результаты тестов, опубликованных в
сети Internet и пилотные испытания на тестовой площадке. Также были
учтены ценовой фактор и политика лицензирования.
По результатам проведённого анализа было принято решение о закупке
комплекса САВЗ Dr.Web Enterprise Security Suite 10 имеющий в своём
составе следующие компоненты защиты:
- Классический файловый сигнатурный антивирус (включая
эвристические методы обнаружения неизвестных модификаций угроз).
- Персональный брандмауэр на уровне рабочей станции.
- Система предотвращения вторжений на уровне рабочей станции
(Hosted Intrusion Prevention System – HIPS).